Einrichtung

Einstellungen, die beiden Zugangswege und die Erstinbetriebnahme.

Einstellungen

Unter FINN.MCP → Einstellungen stehen drei Angaben. Mehr braucht der Zugang nicht.

Einrichtung Einstellungen

API-Schlüssel

Das Geheimnis, mit dem sich eine Verbindung ausweist. Es wird beim ersten Start der Anwendung selbst erzeugt — steht das Feld leer, ist die Anwendung noch nicht neu gestartet.

Der Schlüssel lässt sich über das Augensymbol anzeigen und über das Kopiersymbol in die Zwischenablage legen. Ändern lässt er sich hier nicht.

Es gibt einen Schlüssel für beide Zugangswege: Programme im eigenen Netz senden ihn mit, und auf der Anmeldeseite des Zugangs von außen wird derselbe Wert als Kennwort eingegeben. Beide Wege öffnen denselben Werkzeugkasten, deshalb gibt es auch nur ein Geheimnis.

Der Schlüssel gehört behandelt wie ein Administratorkennwort: nicht per E-Mail versenden, nicht in einem Ticket hinterlegen, nicht in einer Konfigurationsdatei auf einem geteilten Laufwerk ablegen. Wer ihn hat, hat vollen Zugriff auf den Mandanten.

Port

Der Port, auf dem der Zugang lauscht. Vorbelegt ist 3000.

Zu ändern ist er nur, wenn der Port auf dem Server schon belegt ist.

Öffentliche Adresse

Das Feld entscheidet, welcher der beiden Zugangswege aktiv ist:

Feld Wirkung
leer Nur der Zugang im eigenen Netz über den Schlüssel. Siehe Zugang im eigenen Netz.
gefüllt Zusätzlich der Zugang von außen mit Anmeldeseite. Siehe Zugang von außen.

Einzutragen ist die Adresse, unter der der Zugang von außen erreichbar ist — also die des vorgeschalteten Webservers, nicht die des lokalen Ports. Beispiel: https://mcp.kunde.de.

Die Adresse muss über HTTPS erreichbar sein. Eine unverschlüsselte Adresse wird abgelehnt — über diese Verbindung laufen Mandantendaten.

Der Endpoint

Unterhalb der Felder zeigt die Oberfläche die Adresse an, die in den Assistenten eingetragen wird. Sie endet immer auf /mcp:

Speichern startet die Anwendung neu

Port und öffentliche Adresse werden beim Start der Anwendung festgelegt. Beim Speichern wird deshalb ein Neustart angestoßen — für einige Sekunden sind alle Module von FINN.ghost nicht erreichbar.

Das gehört also nicht in die Mittagspause der Kommissionierer. Für alles andere gilt: Der Schlüssel bleibt über den Neustart erhalten, bestehende Verbindungen melden sich von selbst neu an.

Weiter

Zugang im eigenen Netz

Zugang im eigenen Netz

Der einfachere der beiden Wege: Das Programm auf dem Arbeitsplatz sendet den API-Schlüssel mit, und der Zugang steht. Es ist nichts weiter einzurichten — der Schlüssel entsteht beim ersten Start.

Wann dieser Weg passt

Für den ersten Versuch ist das der richtige Weg: kein Webserver davor, keine Freigabe nach außen, jederzeit abschaltbar. Wenn dabei klar wird, dass der Zugang taugt, kann man ihn danach nach außen öffnen.

Was einzutragen ist

Im Assistenten wird hinterlegt:

Angabe Wert
Adresse die in den Einstellungen angezeigte lokale Adresse, endet auf /mcp
Anmeldung der API-Schlüssel aus den Einstellungen

Wie die Anmeldung genau heißt, hängt vom Programm ab; üblich sind ein Feld für einen Schlüssel oder eine zusätzliche Kopfzeile. Verwendet wird jeweils der unveränderte Schlüssel.

Siehe Einstellungen.

Was dieser Weg nicht kann

Verbindungen, die sich über eine Anmeldeseite ausweisen wollen — etwa der Connector in Claude — kommen hierüber nicht hinein. Sie haben kein Feld für einen Schlüssel. Dafür braucht es den Zugang von außen.

Siehe Zugang von außen.

Erkennbar im Protokoll

Bei diesem Weg trägt eine Anfrage keinen Namen — im Protokoll bleibt das Feld für die Verbindung leer. Es ist also nicht unterscheidbar, welcher Arbeitsplatz eine Abfrage ausgelöst hat.

Wo mehrere Personen mit dem Zugang arbeiten und nachvollziehbar bleiben soll, wer was gefragt hat, ist der Zugang von außen die bessere Wahl: Dort hängt der Name der Verbindung am Zugang und steht in jeder Protokollzeile.

Weiter

Zugang von außen

Zugang von außen

Damit sich ein Assistent von außerhalb des Firmennetzes verbinden kann, bekommt der Zugang eine eigene, über HTTPS erreichbare Adresse und eine Anmeldeseite. Das ist der Weg für den Connector in Claude.

Einrichtung Anmeldeseite

Was vorher stehen muss

Dieser Schritt braucht Zutun der IT: eine Adresse, ein Zertifikat und einen vorgeschalteten Webserver. Ohne diese Vorarbeit kommt keine Verbindung zustande, und die Fehlermeldungen der Assistenten sind dabei wenig hilfreich.

Erforderlich sind:

  1. Eine Adresse, etwa mcp.kunde.de, die auf Ihren Server zeigt.
  2. Ein Zertifikat für diese Adresse. Der vorgeschaltete Webserver beendet die Verschlüsselung.
  3. Der Webserver leitet die gesamte Adresse an den Port des Zugangs weiter — nicht nur den Teil /mcp.
  4. Die Adresse muss aus dem Internet erreichbar sein, damit der Assistent sie erreicht.

Punkt 3 ist der häufigste Fehler bei der Einrichtung. Wird nur /mcp weitergeleitet, scheitert der Verbindungsaufbau, weil die Schritte der Anmeldung über eigene Adressen laufen. Der Assistent meldet dann lediglich, dass die Verbindung nicht möglich ist.

Einrichten

  1. In den Einstellungen die öffentliche Adresse eintragen, etwa https://mcp.kunde.de, und speichern. Die Anwendung startet neu.
  2. Im Protokoll steht danach eine Zeile, dass der Zugang von außen aktiv ist, samt der Adresse, die einzutragen ist.
  3. Im Assistenten die Adresse als Verbindung hinterlegen — sie endet auf /mcp, also https://mcp.kunde.de/mcp.
  4. Felder für eine Kennung oder ein Geheimnis der Anwendung bleiben leer. Der Assistent meldet sich selbst an.
  5. Es öffnet sich die Seite Zugriff auf SelectLine erlauben. Dort den API-Schlüssel aus den Einstellungen eingeben und bestätigen.

Danach steht die Verbindung, und der Assistent kennt die verfügbaren Funktionen.

Wie lange die Verbindung hält
Laufende Verbindung wird automatisch erneuert
Ohne Nutzung nach 90 Tagen muss im Assistenten erneut bestätigt werden
Nach einem Neustart der Anwendung der Assistent verbindet sich selbst neu
Ohne Aktivität nach 30 Minuten wird die Sitzung geschlossen und beim nächsten Aufruf neu geöffnet

Ein Neustart von FINN.ghost — etwa nach einem Update — unterbricht die Verbindung also nicht dauerhaft. Wer mitten in einem Gespräch ist, merkt höchstens eine Verzögerung.

Gleichzeitig sind bis zu 50 Verbindungen möglich. Das reicht für jede Belegschaft; der Wert ist eine Schranke gegen Fehlkonfiguration, nicht eine Lizenzgrenze.

Schutz gegen Ausprobieren

Vor dem Zugang steht ein einzelnes Kennwort. Deshalb bremst die Anmeldeseite Fehlversuche:

Ist die Seite gesperrt, hilft nur warten — auch für den, der das Kennwort kennt. Das ist gewollt: Ohne die zweite Schranke ließe sich die erste mit immer neuen Anmeldevorgängen umgehen.

Nachvollziehbar, wer verbunden ist

Bei diesem Weg hängt der Name des Assistenten am Zugang, etwa Claude. Er steht in jeder Protokollzeile des Aufrufs. In gemischtem Betrieb ist damit erkennbar, welche Verbindung eine Abfrage ausgelöst hat.

Zugang wieder entziehen

Drei Möglichkeiten, je nach Anlass:

Anlass Vorgehen
eine Verbindung soll enden im Assistenten die Verbindung trennen
alle Verbindungen sollen enden öffentliche Adresse leeren und speichern
der Schlüssel ist in falsche Hände geraten Support ansprechen; ein neuer Schlüssel entwertet alle bestehenden Verbindungen

Siehe Sicherheit und Verantwortung.

Weiter

Erstinbetriebnahme

Erstinbetriebnahme

Diese Seite ist die Reihenfolge für den ersten Tag — bewusst vorsichtig, weil der Zugang schreiben darf.

1. Im Testmandanten beginnen

Der Assistent schreibt in echte Mandanten. Ein angelegter Beleg ist ein Beleg, ein geänderter Preis ist geändert. Es gibt kein Rückgängig.

Wenn ein Testmandant vorhanden ist, gehört der erste Versuch dorthin. Dort lässt sich in Ruhe ausprobieren, wie der Assistent formuliert und was er tut, ohne dass eine falsch verstandene Anweisung Folgen hat.

2. Lizenz und Zugriff prüfen

Erscheint FINN.MCP im Menü? Wenn nicht:

3. Schlüssel holen

FINN.MCP → Einstellungen. Steht das Feld API-Schlüssel leer, die Anwendung einmal neu starten — der Schlüssel wird beim Start erzeugt. Danach über das Kopiersymbol übernehmen.

Siehe Einstellungen.

4. Erst im eigenen Netz verbinden

Für den ersten Versuch keine Adresse nach außen einrichten. Ein Assistent auf einem Rechner im Firmennetz genügt, um zu sehen, ob der Zugang tut, was er soll.

Siehe Zugang im eigenen Netz.

5. Mit Fragen anfangen, nicht mit Anweisungen

Die ersten Fragen sollten nur lesen. Bewährt hat sich, drei Dinge zu fragen, deren Antwort man schon kennt:

Der Sinn ist nicht, den Assistenten zu prüfen, sondern sich selbst: Man lernt daran, wie eine Frage gestellt sein muss, damit die Antwort stimmt.

Siehe Fragen stellen.

6. Eine Auswertung gegenrechnen

Danach eine Frage, deren Antwort sich in der SelectLine nachrechnen lässt — etwa die verkaufte Menge eines Artikels in einem Monat. Stimmt die Zahl, stimmt in der Regel das Verständnis der Belegkette.

Weicht sie ab, nicht die Zahl korrigieren, sondern die Frage präzisieren: Bestellt, geliefert oder berechnet? Über welchen Zeitraum? Welche Belegarten? Das sind in der SelectLine verschiedene Dinge.

7. Erst dann schreiben lassen

Der erste Schreibvorgang sollte klein und prüfbar sein — ein Interessent mit Anschrift, ein Projekt. Danach in der SelectLine nachsehen, ob der Datensatz so aussieht, wie man ihn von Hand angelegt hätte.

Siehe Daten anlegen und ändern.

8. Zugang nach außen, wenn nötig

Erst wenn all das sitzt, lohnt der Aufwand mit Adresse, Zertifikat und Webserver.

Siehe Zugang von außen.

9. Vorher im Haus klären

Bevor der Zugang in den Alltag geht, sollten drei Dinge entschieden sein:

Frage Warum sie zählt
Wer darf den Zugang nutzen? es gibt keine abgestuften Rechte
Wo wird der Schlüssel aufbewahrt? er ist gleichwertig zu einem Administratorkennwort
Was darf geschrieben werden? technisch ist alles erlaubt, die Grenze ist eine Absprache

Siehe Sicherheit und Verantwortung.

Weiter

Fragen stellen